Accord de sous-traitance (DPA)

Derniere mise a jour : 24 octobre 2026

Article 28 du Règlement (UE) 2016/679 — RGPD — Version 2026-10-24

Document complémentaire aux CGU, non issu des textes déjà validés — en attente de validation par le conseil de Gravity5.

Le présent Accord de Sous-Traitance (ci-après « Accord » ou « DPA ») complète et fait partie intégrante des Conditions Générales d’Utilisation de jenvoie (ci-après le « Contrat Principal »), dont il précise l’article 11, conclues entre :

Gravity5, société par actions simplifiée (SAS) au capital variable de 150 €, immatriculée au RCS Créteil 931 799 860, dont le siège social est situé 6bis, rue Jean Mermoz, 94450 Limeil-Brévannes, France, représentée par Monsieur Yohann MEPA, Président, ci-après dénommée « le Sous-traitant » ou « Gravity5 ».

Le Client, professionnel ayant accepté le Contrat Principal, y compris en installant l’application jenvoie pour Shopify, dont les coordonnées sont renseignées dans son compte ou sa boutique, ci-après dénommé « le Client » ou « le Responsable de Traitement ».

Ci-après dénommés collectivement les « Parties » et individuellement la « Partie ».

Préambule

Le Client utilise jenvoie, plateforme en ligne de création de jeux promotionnels et d’envoi d’emails (newsletters, séquences), accessible sur jenvoie.fr et par l’application jenvoie pour Shopify (ci-après le « Service »).

Dans le cadre de l’utilisation du Service, le Sous-traitant est amené à traiter, pour le compte et sur instruction du Client, des Données à Caractère Personnel relatives aux participants aux jeux du Client et à ses contacts (prospects, clients, abonnés à des listes de diffusion, clients de sa boutique).

Le Client agit en qualité de Responsable de Traitement au sens du RGPD vis-à-vis de ces données. Gravity5 agit en qualité de Sous-traitant au sens du RGPD.

Le présent Accord a pour objet d’encadrer les conditions de ce traitement conformément à l’article 28 du RGPD et à la Loi Informatique et Libertés modifiée.

Article 1 — Définitions

« RGPD » : Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016.
« Loi Informatique et Libertés » : Loi n° 78-17 du 6 janvier 1978 modifiée.
« Données à Caractère Personnel » ou « Données » : toute information se rapportant à une personne physique identifiée ou identifiable, au sens de l’article 4(1) du RGPD.
« Personne Concernée » : la personne physique à laquelle se rapportent les Données.
« Traitement » : toute opération effectuée sur les Données, au sens de l’article 4(2) du RGPD.
« Responsable de Traitement » : le Client, qui détermine les finalités et les moyens du Traitement.
« Sous-traitant » : Gravity5, qui traite les Données pour le compte du Client.
« Sous-traitant Ultérieur » : tiers engagé par le Sous-traitant pour réaliser une partie du Traitement (hébergeur, etc.).
« Violation de Données » : violation de la sécurité au sens de l’article 4(12) du RGPD.
« Autorité de Contrôle » : la Commission Nationale de l’Informatique et des Libertés (CNIL) ou toute autre autorité compétente.

Article 2 — Objet et description du Traitement

2.1 Objet

Le présent Accord a pour objet de définir les conditions dans lesquelles le Sous-traitant s’engage à effectuer, pour le compte du Responsable de Traitement, les opérations de Traitement de Données décrites ci-après.

2.2 Description du Traitement

Nature du Traitement: Hébergement des jeux du Client, enregistrement des participations, détermination et certification des résultats, création de codes de réduction dans la boutique Shopify du Client, collecte, enregistrement, organisation, conservation, consultation, utilisation, communication par transmission (envoi d’emails), effacement ou destruction des Données, production de statistiques.
Finalité(s): Permettre au Client d’organiser des jeux promotionnels, de gérer ses contacts, de concevoir et d’envoyer des emails (newsletters, séquences, emails liés aux participations) aux contacts qui y ont consenti, et de suivre les statistiques de ces envois.
Catégories de Données: Adresse email et autres champs choisis par le Client dans ses formulaires (prénom, téléphone, réponses, pronostics, attributs personnalisés) ; choix de consentement (marketing, mesure d’ouverture) et leur date ; parties (date, langue, résultat, lot, code de réduction, navigateur, référence du certificat) ; activité email (envois, remise, rebonds, désinscriptions, plaintes, clics et, sauf refus du destinataire, ouvertures) ; identifiant technique unique.
Catégories de Personnes Concernées: Participants aux jeux du Client ; prospects, clients et abonnés aux listes de diffusion du Client ; clients de la boutique Shopify du Client ; contacts professionnels.
Durée du Traitement: Pendant toute la durée du Contrat Principal, augmentée de la période de restitution/suppression prévue à l’article 11.

2.3 Données sensibles

Le Client s’engage à ne pas transmettre au Service de données sensibles au sens de l’article 9 du RGPD (origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données génétiques ou biométriques, données concernant la santé, l’orientation sexuelle), ni de données relatives à des condamnations pénales (article 10 du RGPD), sauf accord exprès et écrit préalable du Sous-traitant.

Article 3 — Obligations du Sous-traitant

3.1 Conformité aux instructions

Le Sous-traitant traite les Données uniquement sur instruction documentée du Responsable de Traitement, y compris en ce qui concerne les transferts hors de l’Union européenne. Sont considérées comme instructions documentées :

Le Contrat Principal et le présent Accord ;
Les paramétrages et configurations effectués par le Client dans son compte ou dans l’application jenvoie pour Shopify ;
Les actions réalisées par le Client via l’interface, l’API ou un assistant d’intelligence artificielle connecté par MCP avec ses accès (création de jeux, envoi de campagnes, import de listes de contacts) ;
Les demandes spécifiques formulées par écrit (email, ticket support).

Si le Sous-traitant estime qu’une instruction constitue une violation du RGPD ou d’autres dispositions applicables en matière de protection des données, il en informe immédiatement le Responsable de Traitement.

3.2 Confidentialité

Le Sous-traitant veille à ce que les personnes autorisées à traiter les Données s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.

3.3 Sécurité

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées prévues à l’Annexe 2 du présent Accord, conformément à l’article 32 du RGPD, pour garantir un niveau de sécurité adapté au risque.

3.4 Assistance au Responsable de Traitement

Le Sous-traitant assiste le Responsable de Traitement, dans la mesure du possible et compte tenu de la nature du Traitement, pour :

Répondre aux demandes d’exercice des droits des Personnes Concernées (articles 12 à 23 du RGPD) ;
Assurer le respect des obligations prévues aux articles 32 à 36 du RGPD (sécurité, notification de violation, analyse d’impact, consultation préalable).

Cette assistance se fait via les fonctionnalités du Service (export, suppression, modification de contacts) ou, à défaut, sur demande écrite via les canaux support.

3.5 Information et coopération

Le Sous-traitant met à disposition du Responsable de Traitement toutes les informations nécessaires pour démontrer le respect de ses obligations au titre du présent Accord.

Article 4 — Obligations du Responsable de Traitement

Le Responsable de Traitement s’engage à :

Documenter par écrit toute instruction concernant le Traitement des Données par le Sous-traitant ;
S’assurer qu’il dispose d’une base légale valide (notamment le consentement préalable, libre, spécifique, éclairé et univoque pour le marketing direct B2C, recueilli pour les participants par la case de consentement du jeu, jamais pré-cochée) pour chaque envoi effectué via le Service ;
Conserver la preuve du consentement de chaque destinataire (date, source, mécanisme d’opt-in) ;
Respecter les obligations du RGPD lui incombant en tant que Responsable de Traitement, notamment l’information des Personnes Concernées (articles 13 et 14), y compris sur la mesure d’ouverture des emails et la possibilité de la refuser ;
Publier le règlement de ses jeux et demeurer responsable de ses lots ;
Ne pas importer dans le Service de listes achetées, louées, collectées sur des sites web ou sans consentement valide ;
Maintenir à jour son registre des activités de traitement le concernant ;
Respecter la Politique d’Usage Acceptable du Service ;
Veiller à la qualité et à l’exactitude des Données qu’il télécharge dans le Service ;
Répondre aux demandes des Personnes Concernées et informer le Sous-traitant lorsque l’assistance de ce dernier est requise.

Article 5 — Droits des Personnes Concernées

Dans la mesure du possible, le Sous-traitant assiste le Responsable de Traitement pour répondre aux demandes d’exercice des droits des Personnes Concernées, notamment :

Droit d’accès (article 15 du RGPD) — via la consultation et l’export des contacts ;
Droit de rectification (article 16 du RGPD) — via la fonctionnalité de modification de contact ;
Droit à l’effacement (article 17 du RGPD) — via la fonctionnalité de suppression définitive ;
Droit à la limitation du Traitement (article 18 du RGPD) ;
Droit à la portabilité (article 20 du RGPD) — via l’export au format CSV ;
Droit d’opposition (article 21 du RGPD) — via le lien de désinscription présent dans chaque email et, pour la mesure d’ouverture, via le lien de refus présent dans chaque email qui contient un pixel.

Pour l’application jenvoie pour Shopify, le Sous-traitant traite en outre les demandes de confidentialité transmises par Shopify :

customers/data_request : le Sous-traitant identifie les Données qu’il détient sur ce client pour la boutique et les adresse au Client, par email à l’adresse de la boutique, sous forme de fichier ;
customers/redact : le Sous-traitant supprime la fiche contact, les réponses et l’historique des emails de ce client et anonymise ses parties ;
shop/redact (reçu quarante-huit (48) heures après la désinstallation) : le Sous-traitant supprime les Données de l’ensemble des participants et contacts de la boutique ainsi que les accès à la boutique.

Si une demande est adressée directement au Sous-traitant, celui-ci en informe le Responsable de Traitement dans un délai raisonnable et redirige la Personne Concernée vers le Responsable de Traitement, sauf instruction contraire.

Article 6 — Notification de Violation de Données

Le Sous-traitant notifie au Responsable de Traitement toute Violation de Données dans les meilleurs délais et au plus tard dans les soixante-douze (72) heures après en avoir pris connaissance.

La notification précise, dans la mesure où ces informations sont disponibles :

La nature de la Violation, les catégories et le nombre approximatif de Personnes Concernées et d’enregistrements concernés ;
Les coordonnées du point de contact (privacy@jenvoie.fr) ;
Les conséquences probables de la Violation ;
Les mesures prises ou proposées pour y remédier et en atténuer les effets.

Si toutes les informations ne sont pas disponibles immédiatement, elles sont communiquées de manière progressive et sans retard injustifié.

Il appartient au Responsable de Traitement, le cas échéant, de notifier la Violation à la CNIL et aux Personnes Concernées dans les conditions des articles 33 et 34 du RGPD.

Article 7 — Sous-traitance ultérieure

7.1 Autorisation générale

Le Responsable de Traitement autorise le Sous-traitant à recourir à des Sous-traitants Ultérieurs pour l’exécution du Service. La liste des Sous-traitants Ultérieurs figure à l’Annexe 1 du présent Accord.

7.2 Notification des changements

Le Sous-traitant informe le Responsable de Traitement de tout changement prévu concernant l’ajout ou le remplacement d’un Sous-traitant Ultérieur, avec un préavis minimum de trente (30) jours, donnant ainsi au Responsable de Traitement la possibilité d’émettre des objections motivées à l’encontre de ces changements.

7.3 Objection

En cas d’objection raisonnable du Responsable de Traitement basée sur des motifs liés à la protection des Données, les Parties discuteront de bonne foi pour trouver une solution. À défaut d’accord, le Sous-traitant pourra, à sa discrétion, soit ne pas engager le Sous-traitant Ultérieur concerné, soit permettre au Responsable de Traitement de résilier le Contrat Principal sans pénalité (pour l’application jenvoie pour Shopify, en la désinstallant).

7.4 Responsabilité

Le Sous-traitant impose à chaque Sous-traitant Ultérieur les mêmes obligations en matière de protection des Données que celles fixées dans le présent Accord, par contrat écrit. Le Sous-traitant demeure pleinement responsable, vis-à-vis du Responsable de Traitement, de l’exécution par le Sous-traitant Ultérieur de ses obligations.

Article 8 — Transferts hors Union européenne

Les Données sont hébergées au sein de l’Union européenne (centres de données de Hetzner situés en Allemagne).

L’envoi des emails est assuré par l’infrastructure d’envoi propre du Sous-traitant (mail.jenvoie.fr), hébergée en Allemagne (UE) : le contenu des messages ne fait l’objet d’aucun transfert hors UE. Lorsqu’un traitement implique néanmoins un Sous-traitant Ultérieur situé hors de l’Union européenne (Annexe 1), le transfert est encadré par :

Soit une décision d’adéquation de la Commission européenne (notamment le Data Privacy Framework pour les États-Unis lorsque le Sous-traitant Ultérieur y est certifié) ;
Soit la conclusion de Clauses Contractuelles Types (CCT) adoptées par la Commission européenne (décision 2021/914), incluant le cas échéant les mesures supplémentaires nécessaires conformément à l’arrêt Schrems II.

La liste des Sous-traitants Ultérieurs précise pour chacun la localisation et le mécanisme de transfert applicable (Annexe 1).

Article 9 — Audit

Le Sous-traitant met à disposition du Responsable de Traitement, sur demande écrite et raisonnable, les informations et la documentation nécessaires pour démontrer le respect des obligations prévues par le présent Accord et par l’article 28 du RGPD.

Cette obligation s’exécute prioritairement par la mise à disposition :

De la présente documentation contractuelle ;
Des rapports de certification ou d’audit éventuels de ses Sous-traitants Ultérieurs (notamment ISO 27001 de l’hébergeur) ;
De réponses à un questionnaire sécurité standardisé.

Le Responsable de Traitement peut, à ses frais et avec un préavis raisonnable d’au moins trente (30) jours ouvrés, demander la réalisation d’un audit complémentaire sur les seuls aspects couverts par le présent Accord, à raison d’une fois par an au maximum, sauf en cas de Violation de Données avérée. L’audit est réalisé pendant les heures ouvrées, ne doit pas perturber l’activité du Sous-traitant et doit respecter la confidentialité des autres clients du Sous-traitant.

Article 10 — Durée et résiliation

Le présent Accord prend effet à la date d’acceptation du Contrat Principal par le Client et demeure en vigueur pendant toute la durée du Contrat Principal, ainsi que pendant la période nécessaire à l’exécution des obligations post-contractuelles (notamment la restitution et la suppression des Données prévues à l’article 11).

Article 11 — Sort des Données en fin de contrat

Le Client peut exporter ses contacts à tout moment depuis le Service. Pour l’application jenvoie pour Shopify, la désinstallation met fin immédiatement à l’affichage des jeux et, à réception du webhook shop/redact envoyé par Shopify quarante-huit (48) heures plus tard, le Sous-traitant supprime définitivement les Données des participants et contacts de la boutique ; les parties ne sont conservées que sous forme anonymisée, pour les statistiques.

Pour les autres Clients, à l’expiration ou à la résiliation du Contrat Principal, et au choix du Responsable de Traitement exprimé par écrit dans un délai de trente (30) jours suivant la fin du contrat, le Sous-traitant procède :

Soit à la restitution des Données au Responsable de Traitement dans un format structuré couramment utilisé et lisible par machine (CSV ou JSON), sur support sécurisé ;
Soit à la suppression définitive de l’ensemble des Données.

À défaut d’instruction du Responsable de Traitement dans le délai imparti, le Sous-traitant procède à la suppression définitive des Données, sous réserve des délais techniques de traitement.

Sont exclues de la suppression :

Les sauvegardes techniques, qui sont supprimées selon le cycle de rotation habituel ;
Les données dont la conservation est imposée par une obligation légale (facturation, comptabilité, lutte contre la fraude).

Le Sous-traitant fournit, sur demande écrite, une attestation de suppression.

Article 12 — Responsabilité et indemnisation

Chacune des Parties est responsable des dommages causés par un manquement à ses obligations au titre du présent Accord et du RGPD, dans les conditions prévues à l’article 82 du RGPD.

Sans préjudice de ce qui précède, la responsabilité du Sous-traitant au titre du présent Accord est soumise aux limitations et exclusions prévues dans le Contrat Principal.

Aucune disposition du présent Accord ne limite ou n’exclut la responsabilité d’une Partie à l’égard des Personnes Concernées dans la mesure où une telle limitation ou exclusion serait contraire au RGPD ou à toute autre disposition légale impérative.

Article 13 — Dispositions générales

13.1 Hiérarchie des documents

En cas de contradiction entre le présent Accord et le Contrat Principal sur des questions relatives à la protection des Données, le présent Accord prévaut.

13.2 Modification

Le Sous-traitant peut modifier le présent Accord pour refléter des évolutions réglementaires ou des modifications du Service. Toute modification substantielle fait l’objet d’une notification au Responsable de Traitement avec un préavis de trente (30) jours.

13.3 Droit applicable et juridiction compétente

Le présent Accord est régi par le droit français. Tout litige relatif à son interprétation ou à son exécution est réglé dans les conditions de l’article 14 du Contrat Principal.

13.4 Acceptation

Le présent Accord est accepté avec le Contrat Principal, dans les conditions prévues au préambule de celui-ci (case à cocher lors de la création du compte sur jenvoie.fr, case à cocher et bouton de confirmation à la première ouverture de l’application jenvoie pour Shopify, ou validation d’un Devis). La trace de cette acceptation (identifiant du compte ou domaine de la boutique Shopify, date et heure, version acceptée) est conservée par le Sous-traitant.

Annexe 1 — Liste des Sous-traitants Ultérieurs

Liste à jour au 24 octobre 2026.

Hetzner Online GmbH: Hébergement de l’infrastructure (serveurs, base de données, sauvegardes) et des serveurs d’envoi d’emails du Sous-traitant — Allemagne (UE) — toutes les Données du Service — pas de transfert (intra-UE).
Shopify: Pour les boutiques qui utilisent l’application jenvoie pour Shopify : plateforme sur laquelle fonctionne l’application ; transmet les demandes de confidentialité et héberge les codes de réduction créés par l’application dans la boutique du Client — selon les conditions de Shopify.
OpenAI: Traduction automatique facultative des textes des jeux rédigés par le Client — États-Unis — aucune donnée de participant ou de contact — DPF / CCT.
Stripe: Paiement des clients abonnés directement sur jenvoie.fr (hors Shopify) — UE et États-Unis — données de facturation du Client uniquement, jamais les participants ni les contacts — DPF / CCT.

Note : l’acheminement des emails s’effectue via l’infrastructure d’envoi propre du Sous-traitant (mail.jenvoie.fr), hébergée dans l’Union européenne ; aucun prestataire d’emailing tiers n’intervient.

Annexe 2 — Mesures techniques et organisationnelles de sécurité

Conformément à l’article 32 du RGPD, le Sous-traitant met en œuvre les mesures suivantes pour assurer un niveau de sécurité adapté aux risques :

1. Sécurité des infrastructures

Hébergement dans des centres de données certifiés ISO 27001 (Hetzner, Allemagne) ;
Isolation réseau, pare-feu et restriction des ports exposés ;
Mises à jour régulières du système d’exploitation et des dépendances ;
Surveillance des performances et alertes en cas d’anomalie ;
Sauvegardes automatiques quotidiennes, chiffrées et conservées dans un emplacement distinct.

2. Sécurité des communications

Chiffrement TLS 1.2 minimum (TLS 1.3 recommandé) pour toutes les communications entrantes et sortantes ;
Mise en œuvre des standards d’authentification email : SPF, DKIM, DMARC ;
HTTPS obligatoire sur l’ensemble du domaine jenvoie.fr ;
Vérification de la signature (HMAC) de chaque webhook reçu de Shopify ;
En-têtes de sécurité (HSTS, CSP, X-Frame-Options, etc.).

3. Sécurité des données stockées

Chiffrement au repos selon la politique de l’hébergeur (Hetzner) ;
Hachage cryptographique des mots de passe et des codes de connexion ;
Cloisonnement logique des données entre les comptes Clients ;
Tokens d’API hachés en base ;
Valeur secrète propre à chaque partie, supprimée lors de l’effacement, qui rend les certificats impossibles à relier au participant.

4. Contrôle des accès

Authentification individuelle pour chaque administrateur du Sous-traitant ;
Principe du moindre privilège pour les accès internes ;
Journalisation des accès administrateurs aux bases de données ;
Révocation immédiate des accès en cas de fin de mission ou de départ.

5. Sécurité applicative

Validation des entrées et protection contre les injections (SQL, XSS, CSRF) ;
Limitation du débit (rate limiting) sur les endpoints sensibles ;
Revue de code pour les fonctionnalités critiques ;
Mise à jour régulière des dépendances et veille sur les vulnérabilités (CVE).

6. Mesures organisationnelles

Engagement de confidentialité signé par toute personne accédant aux Données ;
Sensibilisation à la protection des Données et à la sécurité ;
Politique de gestion des incidents documentée ;
Tenue d’un registre des traitements en tant que sous-traitant (article 30.2 du RGPD).

7. Mesures spécifiques au service email

Lien de désinscription présent et fonctionnel dans chaque email de campagne ;
Lien de refus de la mesure d’ouverture dans chaque email qui contient un pixel ; plus de pixel après refus ;
Conservation de la preuve de consentement à la diligence du Client, qui doit pouvoir la fournir sur demande ;
Mécanismes anti-spam (gestion des rebonds, plaintes FBL, liste de suppression) ;
Exclusion automatique et définitive des contacts désinscrits et des adresses en échec définitif de tous les envois futurs ;
Détection et exclusion des ouvertures et clics automatiques (robots, préchargement) ;
Mise en pause automatique des campagnes au taux de rebonds ou de plaintes anormal ;
Pseudonymisation partielle dans les logs lorsque techniquement possible.

8. Continuité d’activité

Plan de sauvegarde testé périodiquement ;
RTO (Recovery Time Objective) : 24 heures pour les services critiques ;
Documentation à jour des procédures de restauration.

9. Gestion des Violations

Procédure de notification au Responsable de Traitement dans les 72 heures ;
Tenue d’un registre interne des Violations ;
Analyse post-incident et mise en œuvre de mesures correctives.

Les présentes mesures peuvent être adaptées et complétées au fil des évolutions techniques et réglementaires, sans réduction du niveau global de protection.